Marak Squires, autore dei popolari pacchetti colors (colorazione della console node.js) e faker (generatore di dati fittizi per campi di input), che contano rispettivamente 2.8 e 25 milioni di download settimanali, ha pubblicato nel repository NPM e su GitHub nuove versioni dei suoi prodotti, che includono cambiamenti distruttivi, mirati a causare malfunzionamenti in fase di compilazione ed esecuzione di progetti dipendenti. Le azioni di Marak hanno compromesso il funzionamento di molti progetti, tra cui AWS CDK, che utilizzano le suddette librerie: la libreria colors è una dipendenza per 18953 progetti, mentre faker lo è per 2571.
Nel codice della libreria ‘colors’ è stato aggiunto l’output in console del testo ‘LIBERTY LIBERTY LIBERTY’ e un ciclo infinito, che blocca il funzionamento dei progetti dipendenti e genera un flusso di parole distorte ‘tesing’. Nella libreria faker è stato rimosso il contenuto del repository, nel commit ‘endgame’ sono stati aggiunti i file .gitignore e .npmignore per escludere i file di progetto, e al posto del contenuto del file README è stata pubblicata la domanda ‘Cosa è successo realmente ad Aaron Schwartz’. I problemi sono presenti nelle versioni colors 1.4.1+ e faker 6.6.6.
In risposta ai suoi atti, GitHub ha bloccato l'accesso di Marak ai suoi repository (90 pubblici + alcuni privati), mentre NPM ha ripristinato la versione dannosa del pacchetto. Tuttavia, la legittimità delle azioni di GitHub solleva interrogativi, poiché la rimozione del codice da parte di uno sviluppatore da uno dei suoi repository non può essere considerata una violazione delle regole del servizio. Inoltre, nel testo della licenza dei pacchetti colors e faker è esplicitamente indicato l'assenza di qualsivoglia garanzia e responsabilità riguardo alla funzionalità del codice.
Curiosamente, il primo avviso di cessazione dello sviluppo è stato pubblicato più di un anno fa. Nel settembre 2020, Marak ha perso tutti i suoi beni a causa di un incendio e, all'inizio di novembre, ha esortato in forma ultimativa le aziende commerciali che utilizzano i suoi progetti a finanziare la continuazione dello sviluppo, altrimenti ha promesso di interrompere il supporto, poiché non intende più lavorare gratuitamente. Prima dell'incidente, l'ultima versione di colors era stata rilasciata due anni fa, mentre faker nove mesi fa.
Per quanto riguarda i motivi alla base dell'introduzione di modifiche distruttive nei pacchetti, è probabile che Marak stia cercando di dare una lezione alle aziende che sfruttano il lavoro della comunità degli sviluppatori di software open source, senza rendere nulla in cambio, o di attirare l'attenzione su una rivalutazione delle circostanze della morte di Aaron Swartz. Aaron si è suicidato dopo che era stata avviata un'azione penale contro di lui per la copia di articoli scientifici da una banca dati a pagamento JSTOR, sostenendo l'idea di rendere accessibili gratuitamente le pubblicazioni scientifiche. Aaron era accusato di frode informatica e di accesso non autorizzato a un computer protetto, per i quali la pena massima era di 50 anni di carcere e una multa di un milione di dollari (se fosse stato raggiunto un accordo giudiziario e avesse riconosciuto le accuse, Aaron avrebbe dovuto scontare 6 mesi di carcere).
Si ritiene che Aaron, nell'ambito di una depressione, non sia riuscito a sopportare la pressione del sistema giudiziario e l'ingiustizia delle accuse rivoltegli (era in pericolo di 50 anni di carcere solo per aver scaricato contenuti da una banca dati di articoli scientifici, che secondo lui dovrebbero essere distribuiti senza restrizioni). Marak Squires, nella sua risposta pubblicata in sostituzione del codice rimosso sulla morte di Aaron e in un post su Twitter, fa riferimento a una teoria del complotto non confermata, secondo la quale Aaron Swartz avrebbe trovato negli archivi del MIT documenti compromettenti riguardanti determinate persone importanti, e per questo sarebbe stato ucciso, mascherando l'evento come un suicidio (domani saranno 9 anni dalla morte di Aaron).
Fonte: opennet.ru
